अंतर्गत ALB, सार्वजनिक DNS नाव: ते खरोखर उघड आहे का?

अंतर्गत लोड बॅलन्सरविरुद्ध सार्वजनिक DNS शोध चालवा आणि तुम्हाला खाजगी पत्ता परत मिळू शकतो, जो रेकॉर्ड कशासाठी आहे ते तपासेपर्यंत चुकीच्या कॉन्फिगरेशनसारखा दिसतो. AWS नोंदवते की अंतर्गत लोड बॅलन्सरची नावे सार्वजनिकरित्या सोडवता येणारी असू शकतात, तर त्यांचे नोड्स फक्त खाजगी पत्ते ठेवतात. रिझोल्व्हरने सेवा कुठे आहे हे सांगितले; त्याने मार्ग तयार केला नाही, सुरक्षा गट उघडला नाही आणि कोणाचेही प्रमाणीकरण केले नाही. ते उत्तर समस्या आहे का, हे तुम्ही क्रमाने तपासू शकता अशा तथ्यांवर अवलंबून आहे.

पहिली पायरी: स्कीम वाचा, IP नाही

स्कीम फील्ड म्हणजे लोड बॅलन्सरचे स्वतःच्या सीमेबद्दलचे विधान. aws elbv2 describe-load-balancers --names app-internal internal किंवा internet-facing मूल्यासह Scheme परत देतो, तसेच IPv4 किंवा दुहेरी स्टॅकसाठी पत्ता प्रकार. इंटरनेटकडे तोंड असलेला लोड बॅलन्सर खाजगी लक्ष्यांकडे पाठवू शकतो, म्हणून खाजगी बॅकएंड पत्ते पाहून समोरच्या भागाबद्दल काहीही सिद्ध होत नाही.

दुसरे काही पाहण्यापूर्वी स्कीम लिहून ठेवा, कारण पुढील प्रत्येक निर्णय त्यावर अवलंबून आहे. ते कोणते नियंत्रण आहेत हेही सांगते, सुरक्षा गट आणि लिसनर नियमांपासून त्या लोड बॅलन्सर प्रकाराच्या वैशिष्ट्यांपर्यंत. जुन्या कन्सोल स्क्रीनशॉटमधून कॉपी केलेली स्कीम कोणत्याही टीपेपेक्षा वाईट आहे. ती API मधून पुन्हा वाचा आणि मूल्य तिकिटात पेस्ट करा.

दुसरी पायरी: नाव कशात सोडवले जाते ते पाहा

VPC बाहेरून dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ने विचारा आणि उत्तरे 10.0.0.0/8, 172.16.0.0/12 किंवा 192.168.0.0/16 मध्ये आहेत का ते नोंदवा. सार्वजनिक रिझोल्व्हरकडून खाजगी उत्तर अंतर्गत लोड बॅलन्सर नावासाठी अपेक्षित वर्तन आहे; पत्ता इंटरनेटवरून मार्गीय आहे याचा तो पुरावा नाही.

तेच नाव VPC आतून सोडवा आणि तुलना करा. दोन्ही उत्तरे वेगळी असल्यास तुम्ही स्प्लिट-हॉरायझन नामकरण पाहत आहात, आणि तो फरक डिझाइनचा तपशील आहे, गळती नाही.

तिसरी पायरी: तिथपर्यंत पोहोचू शकणारे मार्ग सूचीबद्ध करा

खाजगी पत्ता तिथून पोहोचण्यायोग्य असतो जिथे मार्ग आणि सुरक्षा नियम असतो. ते जाणीवपूर्वक सूचीबद्ध करा: साइट-टू-साइट VPN, क्लायंट VPN, VPC पीअरिंग, ट्रान्झिट गेटवे जोडणी, Direct Connect आणि VPC मधील कोणताही प्रॉक्सी किंवा बॅस्टियन. त्यापैकी एक हेतू असलेला मार्ग आहे, आणि बाकीचे हल्लेखोर शोधतील ते.

नंतर प्रत्येक मार्गावरील नियंत्रणे तपासा: लोड बॅलन्सरवरील सुरक्षा गट, सबनेटवरील नेटवर्क ACL आणि मार्ग अस्तित्वात ठेवणारे राउटिंग. उघड अंतर्गत सेवेच्या बहुतेक नोंदवलेल्या प्रकरणांचे निराकरण येथे होते, एकतर अनपेक्षित पीअरिंग होते किंवा मार्ग हेतुपूर्वक होता आणि अनुप्रयोगाकडे प्रमाणीकरण नव्हते.

चौथी पायरी: लिसनर आणि अनुप्रयोग स्वतंत्रपणे तपासा

सेवेपर्यंत पोहोचू नये अशा नेटवर्कमधून कनेक्ट करण्याचा प्रयत्न करा आणि तुम्ही करू शकत नाही याची खात्री करा. नंतर पोहोचले पाहिजे अशा नेटवर्कमधून प्रयत्न करा आणि तुम्ही लिसनरपर्यंत पोहोचता याची खात्री करा. हे दोन निकाल नेटवर्क पोहोच आणि अनुप्रयोग वर्तन वेगळे करतात, आणि उघडपणाच्या प्रश्नासाठी महत्त्वाचा एकमेव पुरावा ते आहेत.

पोहोचण्यायोग्य लिसनर म्हणजे प्रवेशयोग्य अनुप्रयोग नव्हे. TLS प्रमाणपत्र आणि प्रोटोकॉल धोरण, नंतर अनुप्रयोगाचे स्वतःचे प्रमाणीकरण आणि अधिकृतता तपासा. कॉर्पोरेट VPN वर कोणत्याही कॉलरला स्वीकारणारे अंतर्गत साधन त्या VPN वरील प्रत्येक तडजोड झालेल्या लॅपटॉपसमोर उघड आहे, जो इंटरनेटकडे तोंड असलेल्यापेक्षा वेगळा धोका आहे, पण तरीही धोका आहे.

नियंत्रणे प्रकारानुसार बदलतात हे लक्षात ठेवा. अनुप्रयोग-स्तर फायरवॉल एका लोड बॅलन्सर कुटुंबाशी जोडतात, दुसऱ्याशी नाही, म्हणून समानता गृहीत धरण्याऐवजी तुमच्यासमोरील स्कीम आणि प्रकारासाठी प्रत्यक्षात काय उपलब्ध आहे ते तपासा.

पाचवी पायरी: नावालाच महत्त्व आहे का ते ठरवा

सार्वजनिक सोडवणुकीमुळे सेवेचे नाव, प्रदेश आणि पत्ता श्रेणी उघड होऊ शकते. त्याकडे धोरणात्मक उत्तर असलेला माहिती उघडीकरणाचा प्रश्न म्हणून पाहा, स्वयंचलित घटना नाही: संवेदनशील व्यावसायिक संज्ञा संसाधन नावांपासून दूर ठेवा, आणि नामकरण परंपरा तुमच्या इच्छेपेक्षा जास्त उघड करत असेल तर जोखीम नोंदीत उघडीकरण नोंदवा.

संस्थेला खाजगी नामकरण अनुभव हवा असल्यास, खाजगी होस्ट केलेला झोन केवळ संबंधित VPC मध्ये सोडवला जाणारा उपनाव देऊ शकतो. ते वापरकर्त्यांना दिसणारे नाव बदलते; ते पुरवठादाराने तयार केलेले नाव गुप्त करत नाही आणि कोणताही नेटवर्क मार्ग काढून टाकत नाही.

उत्तर लपवण्यासाठी पत्ते पिन करण्याचा प्रयत्न करू नका. लोड बॅलन्सरचे पत्ते बदलतात, पिनिंग TLS पडताळणीच्या सवयी तोडते, आणि तुम्हाला खरोखर आवश्यक असलेले नियंत्रण म्हणजे कोण कनेक्शन स्थापित करू शकतो आणि अनुप्रयोग त्यांच्याकडून काय मागतो. चार तथ्ये तपासा, लिहा, आणि प्रश्न अस्पष्ट राहत नाही.